fix: le filtre de lecture couvre l-enveloppe que le SDK renvoie vraiment

Le `useShape` publie enveloppait le resultat du hook dans le filtre ecrit pour une COLLECTION. Depuis que `@ng-org/orm` renvoie un `UseShapeResult` autour du set, `[...resultat]` et `.size` levaient, et `data`, `promise` et `subscription` revenaient BRUTS - chacun tous les objets de toutes les identites, sans que rien ne casse. Aucun faux de ce depot ne renvoyait la forme livree, donc aucune garde ne pouvait le voir. Deux vues au lieu d-une : celle de la collection, et celle de l-enveloppe que `surface/use-shape.ts` applique. `data` et `promise` sont filtres, `subscription` est refuse (c-est le handle de l-ORM, que cette surface ne publie pas), les deux commandes de page passent. Le defaut par TYPE et non par une liste de noms : un primitif ne peut atteindre aucun objet et passe, un objet ou une fonction refuse tant qu-il n-existe pas de forme filtree ici. C-est pourquoi `isLoading` n-est nomme nulle part, et pourquoi un membre qu-une version suivante ajoutera est deja tranche. `size` et `length` comptent ce que le porteur peut lire. `UseShapeLike` etait `(...args: any[]) => any`, ce qui est la raison pour laquelle les deux typechecks restaient a 0 pendant que la fuite etait ouverte : aucune declaration ne disait ce que le hook rend. Il rend `ShapeResult`, releve sur le `.d.ts` installe, et le vrai `reactUseShape` y est assignable sans cast. Le faux partage `test/use-shape-fake.ts` renvoie la forme livree et c-est celui que les deux gardes injectent - unitaire et e2e. La garantie du contrat et le test qui l-epingle arrivent ensemble ; `1.0.0-dev.11`, majeur.
2026-09-24 18:27:02 +02:00
parent 5993a8c4a2
commit 3a8941159f
13 changed files with 817 additions and 94 deletions
@@ -548,6 +548,16 @@ async function main(): Promise<void> {
        ownerReadsHeld && ownerMissesUnheld && strangerReadsNothing && linkOpensPublic,
        `owner=${JSON.stringify(r.ownerView)} stranger=${JSON.stringify(r.strangerView)} withCap=${JSON.stringify(r.strangerWithLinkView)}`,
      );
+      // The three views above are read off `data`, one of the three members of the SDK's
+      // result envelope that carry the items. The fourth way in is the ORM's own handle,
+      // which reads and writes with no capability filter at all — so it is refused rather
+      // than handed on, and that refusal is checked here rather than assumed.
+      check(
+        "the read-filtered view refuses the ORM's own subscription handle",
+        typeof r.subscriptionRefused === "string" &&
+          r.subscriptionRefused.includes("RdfOrmSubscription"),
+        `subscription=${JSON.stringify(r.subscriptionRefused)}`,
+      );
    });
    // MOVED to the applicative suite (`e2e/notebook.ts`, "Alice's protected note stays
    // shut until she gives Bob the key"): sharing is a journey, and it is worth more